如何配置Guacamole通过RDP证书验证建立连接？

我花了大量时间调试RDP连接，不想开启Ignore server certificate = true选项，但连接一直失败。环境是Windows Server 2022服务器，证书由内部PKI颁发，已将CA根证书放到$HOME/.freerdp/certs目录，但问题依旧，是不是漏了什么步骤？

guacd状态日志 #

systemctl status guacd : 

guacd[9091]: Resize method: none
guacd[9091]: No clipboard line-ending normalization specified. Defaulting to preserving the format of all line endings.
guacd[9091]: User "@c28ba2ca-53a8-420f-8259-2950f6344169" joined connection "$b552c27f-b754-440b-8a96-f7e16aa5d994" (1 users now present) 
guacd[9091]: Loading keymap "base"  
guacd[9091]: Loading keymap "en-us-qwerty"  
guacd[9091]: Certificate validation failed  
guacd[9091]: RDP server closed/refused connection: SSL/TLS connection failed (untrusted/self-signed certificate?)  
guacd[9091]: User "@c28ba2ca-53a8-420f-8259-2950f6344169" disconnected (0 users remain) 
guacd[9091]: Last user of connection "$b552c27f-b754-440b-8a96-f7e16aa5d994" disconnected 
guacd[902]: Connection "$b552c27f-b754-440b-8a96-f7e16aa5d994" removed.

试过手动写入$HOME/.freerdp/certs/known_hosts2能成功连接，但这个方法没法批量用在多台机器上。有没有人成功配置过无需忽略证书的方案？搜了很久都没找到除了忽略证书之外的解决办法。

版本信息：FreeRDP2-dev、Guacamole 1.5.5

• 检查Guacd运行用户的证书路径：Guacd通常以guacd用户运行，不是你操作的登录用户，把CA根证书放到/var/lib/guacd/.freerdp/certs目录（对应guacd用户的HOME），并设置证书权限为644，目录权限755。
• 确保证书格式为PEM：FreeRDP只认PEM格式的CA证书，如果你的证书是DER或PFX格式，用openssl x509 -inform der -in root.cer -out root.pem转换后再放入目录。
• 在Guacamole连接中指定FreeRDP参数：添加两个关键参数：
  • /cert-ignore:false：明确关闭证书忽略
  • /cert-store:/var/lib/guacd/.freerdp/certs：指定CA证书存储路径（按实际用户HOME调整）
• 验证证书链完整性：用openssl s_client -connect <server-ip>:3389检查服务器返回的证书链，如果缺少中间CA证书，把中间证书也放到同一个certs目录里。
• 确认服务器证书的SAN匹配：Windows服务器证书的Subject Alternative Name字段必须包含你在Guacamole里使用的连接地址（IP或主机名），地址不匹配会直接触发验证失败。

内容的提问来源于stack exchange，提问作者Noxys